Free IPA (Identity Policy - Audit)

Transkript

1 Free IPA (Identity Policy - Audit) OSDCM: User Management Jürgen Brunk München,

2 Agenda 1. Was ist Free IPA? 2. Übersicht 3. CLI und Web-GUI 4. Windows AD Anbindung 5. Framework 6. Umgebung 7. Architektur 8. Server 9. Client 10.Multi Master Replication 11.Praxis 12.Free IPA Server Installation 13.Free IPA Client Installation 14.Free IPA CLI Management Free IPA 2

3 Was ist Free IPA?

4 Was ist Free IPA? Übersicht Eine Art Active Directory für Linux Zentrale Verwaltung von Benutzerkonten und Regelwerken Benutzer/Hosts/Gruppen, Kennwörter SUDO Rechte, SSH Keys DNS Verwaltung, Zertifikate/PKI und vieles mehr Free IPA 4

5 Was ist Free IPA? CLI und Web-GUI Free IPA 5

6 Was ist Free IPA? Windows AD Anbindung lässt sich auch an eine bestehende Windows AD Umgebung anbinden (kein Ersatz dafür!) seit Free IPA v2: Replikation von Benutzern und Passwörtern vom AD zu Free IPA seit Free IPA v3: Anbindung vom AD per trusted link an Free IPA, SSO von einer Windows zu einer Linux Maschine Free IPA 6

7 Was ist Free IPA? Framework Open Source Framework: MIT Kerberos Server (SSO) 389 Directory Server (LDAP) SSS* (System Security Services) Dogtag PKI Bind DNS NTP Samba Apache Free IPA 7

8 Was ist Free IPA? Umgebung (aktuell) reines RedHat Projekt (aktuell) offiziell supported: Fedora / Red Hat Enterprise Linux Empfohlen: Fedora 20 / RHEL 7 Free IPA 8

9 Architektur

10 Architektur IPA Server Free IPA 10

11 Architektur IPA Client Free IPA 11

12 Architektur Multi Master Replication Free IPA 12

13 Fragen soweit?

14 Praxis

15 Free IPA Server Installation

16 Free IPA Server Installation 1/3 # cat /etc/redhat-release Fedora release 20 (Heisenbug) # Firewall disablen (macht den Testbetrieb einfacher) # systemctl disable firewalld # systemctl stop firewalld # cat /etc/hosts freeipa.local.domain freeipa # cat /etc/hostname freeipa.local.domain # yum install bind-dyndb-ldap freeipa-server Free IPA 16

17 Free IPA Server Installation 2/3 # ipa-server-install --setup-dns --mkhomedir Server host name [freeipa.local.domain]: Please confirm the domain name [local.domain]: Please provide a realm name [LOCAL.DOMAIN]: Directory Manager password: ***** IPA admin password: ***** Do you want to configure DNS forwarders? [yes]: Enter IP address for a DNS forwarder: Enter IP address for a DNS forwarder: Do you want to configure the reverse zone? [yes]: Please specify the reverse zone name [ inaddr.arpa.]: Continue to configure the system with these values? [no]: yes Free IPA 17

18 Free IPA Server Installation 3/3 # kinit admin Password for admin@local.domain: ***** # klist Ticket cache: KEYRING:persistent:0:0 Default principal: admin@local.domain Valid starting Expires Service principal :26: :26:49 krbtgt/local.domain@local.domain # optional: Deinstallation ;-) # ipa-server-install --uninstall --unattended Free IPA 18

19 Free IPA Client Installation

20 Free IPA Client Installation 1/1 # yum install freeipa-client # ipa-client-install --mkhomedir ggf. SSSd Configuration nachbessern wenn sudo nicht funktioniert: /etc/nsswitch.conf: +sudoers: files sss /etc/sssd/sssd.conf: [sssd] -services = nss, pam, ssh +services = nss, pam, ssh, sudo # systemctl restart sssd Free IPA 20

21 Free IPA CLI Management

22 Free IPA CLI Management 1/2 # Kerberos Ticket erzeugen # kinit admin # ipa help user # neuen User jdoe mit Zufalls-Password anlegen # ipa user-add jdoe --first John --last Doe --random # nach User suchen # ipa user-find john # User Infos anzeigen # ipa user-show jdoe Free IPA 22

23 Free IPA CLI Management 2/2 # neue Gruppe anlegen # ipa group-add foo # User einer neuen Gruppe zuweisen # ipa group-add-member foo --user jdoe # Password neu setzen # ipa passwd jdoe # SSH Key zuweisen # ipa user-mod jdoe --sshpubkey="ssh-rsa AAAA... # User löschen # ipa user-del jdoe Free IPA 23

24 Noch Fragen?

25 Quellennachweise und Links

26 Quellennachweise Quellennachweise: Images: Free IPA 26

27 Links Links: Free-IPA Website: Free-IPA Dokumentation: Free IPA 27

28 Vielen Dank für Ihre Aufmerksamkeit Kontakt Jürgen Brunk Systems Engineer inovex GmbH Office München Valentin-Linhof Str. 2 D München Mobil: Mail: juergen.brunk@inovex.de 28